Waspada PamStealer! Malware macOS yang Validasi Password Korban Pakai PAM Apple Sebelum Dicuri

Sebuah malware infostealer baru untuk macOS bernama PamStealer tengah menjadi ancaman serius — dan ia memiliki trik yang sangat licik. Alih-alih langsung menerima password yang diketik korban di jendela palsu, PamStealer memvalidasi password tersebut menggunakan Pluggable Authentication Modules (PAM) milik Apple sebelum mencurinya. Ini artinya, penyerang hanya mendapatkan kredensial yang berfungsi, bukan salah ketik atau umpan ^JP. Pertama kali didokumentasikan oleh Jamf Threat Labs pada 2 Juli 2026 ^JP, PamStealer menandai evolusi yang mengkhawatirkan dalam pencurian kredensial di macOS.

Cara PamStealer Menginfeksi Korban Melalui Typosquatting

Malware ini disebarkan dari domain typosquat — maccyapp[.]com — yang dirancang untuk meniru proyek Maccy, aplikasi clipboard manager yang sah. Maccy asli hanya bisa diunduh dari maccy.app, Homebrew, atau repositori GitHub resmi ^MG. Situs resmi Maccy bahkan memperingatkan pengguna tentang halaman tiruan ini ^F.

Saat korban mengunjungi situs palsu tersebut, mereka akan menerima file disk image (.dmg) yang berisi file AppleScript terkompilasi bernama Maccy.scpt ^JP. Maccy asli tidak pernah mendistribusikan dalam bentuk DMG; aplikasi ini hanya tersedia sebagai Maccy.app.zip ^P.

Saat diklik dua kali, macOS akan membuka file .scpt di Script Editor sesuai pengaturan bawaan. Bagian file yang terlihat menampilkan instruksi bermerek yang menyuruh pengguna menekan ⌘+R untuk "memulai," sementara kode berbahaya yang asli disembunyikan jauh di bawah setelah banyak baris kosong ^JP. Teks tersebut juga menggunakan homoglif Yunani dan Sirilik pada kata "Maccy" untuk mengelabui pemindai berbasis teks ^JF.

Data Apa yang Dicuri PamStealer?

Infostealer tahap kedua yang berbasis Rust (Mach-O) ini mengumpulkan berbagai data sensitif ^J:

• Password login — ditangkap melalui dialog NSAlert asli yang bertuliskan "Maccy wants to make changes. Enter your password to allow this," lalu divalidasi secara lokal melalui PAM (pam_start, pam_authenticate, pam_end) tanpa aktivitas shell yang terlihat ^J.
• Entri Keychain — memuat Security.framework saat runtime (tidak ada di tabel impor statis) untuk mengambil password dari Keychain macOS ^J.
• Kredensial browser, cookie, dan data ekstensi dompet — membuka database kredensial secara langsung menggunakan panggilan baca SQLite yang sudah dibundel ^J.
• Isi Clipboard — menjalankan utilitas bawaan pbpaste secara berulang untuk memantau dan mencuri apa pun yang disalin pengguna ^JF.
• Target Full Disk Access (FDA) — jika pengguna kemudian memberikan izin FDA (diminta setelah jeda hingga 40 menit), file-file yang dilindungi juga bisa diakses ^F.
• Rekognisi dompet kripto — konfigurasi C2 menyertakan endpoint Ethereum JSON-RPC, dan malware ini terpantau terhubung ke ethereum-rpc.publicnode[.]com ^J.

Semua data curian dienkripsi dengan ChaCha20-Poly1305 dan dikirim melalui HTTPS ke endpoint C2 (domain yang terpantau: avenger-sync[.]live dan avengerflow[.]com), dibungkus dalam amplop JSON MacOSapp1{"data":"..."} ^JP.

Indikator Infeksi (IOCs)

Pemicu Penandatanganan Kode Script Editor

Sebelum meluncurkan muatan berbahaya, dropper menandatangani sementara (ad-hoc signing) bundel aplikasi palsu dengan codesign -fs - --deep (bukan tanda tangan Developer ID yang sah), lalu menjalankannya secara tersembunyi tanpa jendela atau kehadiran di Dock ^J. Malware ini juga memeriksa alat debugging dan System Integrity Protection sebelum melanjutkan ^F.

Proses "Finder" Palsu yang Menggunakan pbpaste

Muatan tahap kedua ditempatkan dalam bundel bernama Finder.app dengan identifier bundel com.apple.finder.monitor dan ikon Finder.icns asli yang disalin dari /System/Library/CoreServices/ ^JP. Kemudian, ia memunculkan pbpaste untuk mencuri data clipboard. Activity Monitor mungkin akan menampilkan proses Finder kedua yang melakukan pembacaan clipboard — ini adalah anomali yang mencolok ^J.

Login Items Baru dengan Ikon Sistem yang Disalin

Persistence (ketahanan) dibuat melalui Login Items (bukan LaunchAgents/LaunchDaemons) menggunakan API SMAppService modern dan API LSSharedFileList lawas. Malware dibundel di dalam: com.apple.finder.monitor dan com.apple.security.daemon (menyamar sebagai Software Update) ^JPF. Karena panel Login Items di System Settings tidak menampilkan path lengkap, malware ini tampak seperti entri sistem yang sah ^PT.

Indikator Lainnya

• File penanda bernama .Maccy dijatuhkan bersamaan dengan bundel bertahap ^J.
• Dropper menjalankan muatan JavaScript for Automation (JXA) melalui API ObjC asli (NSURLSession), menghasilkan lebih sedikit artefak pembuatan proses dibandingkan pengunduh berbasis curl/osascript pada umumnya ^J.
• Geo-fencing: eksekusi dibatalkan jika zona waktu, lokal, tata letak keyboard, atau kode negara cocok dengan Rusia, Belarus, Kazakhstan, atau 8 negara CIS lainnya ^JP.

Cara Pengguna Tetap Aman

• Unduh Maccy hanya dari domain resmi maccy.app, atau melalui Homebrew / repositori GitHub resmi. Proyek asli bersifat open-source (lisensi MIT) dan dikelola oleh pengembang Alexey Rodionov (Team Identifier MN3X4648SC) ^JP.
• Jangan pernah membuka file .scpt di Script Editor dari disk image yang diunduh lalu menekan Run. Tidak ada aplikasi macOS sah yang meminta Anda melakukan ini ^JF.
• Waspadai prompt password administrator yang tidak terduga. Dialog PamStealer bertuliskan "Maccy wants to make changes" — padahal aplikasi asli tidak memerlukan password Anda untuk menginstal clipboard manager dari sumber resminya ^J.
• Curigai permintaan Full Disk Access yang tertunda. Jika sebuah aplikasi meminta FDA 30–40 menit setelah instalasi tanpa alasan jelas, kemungkinan besar itu adalah malware yang menunggu untuk menghindari atribusi ^F.
• Periksa Login Items di System Settings → General → Login Items untuk entri mencurigakan yang dinamai seperti komponen sistem (misalnya, com.apple.finder.monitor) yang tidak sengaja Anda tambahkan ^PJ.
• Pantau keberadaan beberapa proses Finder di Activity Monitor, terutama yang tidak memiliki jendela terlihat ^J.